页面打开中,请稍候...
www.Gzu521.com
| 贵 州 学 习 网 |
|
在中小型异构网络中，很多用户选择LINUX作为网络操作系统，利用其简单的配置和用户熟悉的图形界面提供internet服务，Ftp便是其提供的服务之一。在众多网络应用中，ftp（文件传输协议）有着非常重要的地位。互联网一个十分重要的资源就是软件资源，而各种各样的软件资源大多数都放在ftp服务器中。与大多数互联网服务一样，ftp也是一个客户机/服务器系统。
ssh（secure shell）是以远程联机服务方式操作服务器时的较为安全的解决方案。它最初由芬兰的一家公司开发，但由于受版权和加密算法的限制，很多人转而使用免费的替代软件openssh。ssh（secure shell）是以远程联机服务方式操作服务器时的较为安全的解决方案。它最初由芬兰的一家公司开发，但由于受版权和加密算法的限制，很多人转而使用免费的替代软件openssh。 用户通过ssh可以把所有传输的数据进行加密，使“中间人”的攻击方式不可能实现，而且也能够防止dns和ip欺骗。它还有一个额外的好处是传输的数据是经过压缩的，可以加快传输的速度。ssh作用广泛，既可以代替telnet，又可以为ftp、pop，甚至为ppp提供一个安全的“通道”。ssh协议在预设的状态中，提供两个服务器功能：一个是类似telnet的远程联机使用shell服务器，即俗称ssh功能；另一个是类似ftp服务的sftp-server功能，可提供更安全的ftp服务。 ssh的安全验证如何工作呢？主要依靠联机加密技术。从客户端来看，有以下两种安全验证级别： 1．基于口令的安全验证（ssh1） 只要知道自己的账号和口令，就可以登录到远程主机。所有传输的数据都将被加密，但是不能保证正在连接的服务器就是想要连接的服务器。可能受到“中间人”的攻击。 2．基于密匙的安全验证（ssh2） 需要依靠密匙，即用户必须为自己创建一对密匙，并把公用密匙放在需要访问的服务器上。如果要连接到ssh服务器上，客户端软件就会向服务器发出请求，请求用密匙进行安全验证。服务器收到请求之后，先在该服务器的home目录下寻找公用密匙，然后把它和发送过来的公用密匙进行比较。如果两个密匙一致，服务器就用公用密匙加密“质询”（challenge），并把它发送给客户端软件。客户端软件收到“质询”后，就可以用私人密匙解密再把它发送给服务器。使用这种方式，用户必须知道自己密匙的口令。与第一种级别相比，这种级别不需要在网络上传送口令，不仅加密所有传送的数据，而且阻止了“中间人”攻击方式。openssh目前存在两个安全遗患：口令、密匙破解（利用字典文件去解密码）和openssh中可能被安放木马。 一、srp简介 srp全称：secure remote password（安全远程密码），它是一个开放源代码认证协议。使用srp的客户机/服务器不会在网络上以明文或加密的方式传送密码，这样可以完全消除密码欺骗行为。保证口令可以安全地在网络上面传送。基本的思想是，防止有被动或主动网络入侵者使用字典攻击。standford大学计算机系开发了srp软件包，提供基于口令认证和会话加密的安全机制，而不需要用户或者是网管参与密钥的管理或分发。srp为每一个人提供透明的密码安全，而没有其他昂贵的起始开销，比如阻止其他安全套件软件的使用等。不像其他的安全软件，srp套件是一个完全的实现密码认证的软件包，不是临时的解决方案。和标准的/etc/shadow-style 安全比较，srp在每一个方面都是比较好的。使用srp对用户和管理者都有以下的好处： srp抵制“password sniffing”（口令监听）攻击。在一个使用srp认证的会话中，监听者不会监视到任何在网络中传送的口令。在远程登陆软件中，明文的密码传送是最大的安全漏洞。任何人可以用一个简单的嗅探器（sniffer）工具得到你登陆到远程系统的密钥。 二、软件下载和编译 srp软件主页是：http://srp.stanford.edu 最新版本2.1.1，安装srp前先要安装openssl。 #wget http://srp.stanford.edu/source/srp-2.1.1.tar.gz #cp /usr/src/redhat/sources #./configure --with-openssl=/usr/src/redhat/sources/openssl-0.9.6 \ --with-pam #make；make install
eps全称：exponential password system（指数密码系统），srp软件包中已经包括eps源代码。 1. 安装pam模块 pam简介： pam全称：pluggable authentication module （嵌入式认证模块）。它最初有SUN公司开发；很快被linux社区的接受，并且开发了更多的模块。其目标是提供一套可用于验证用户身份的函数库，从而将认证从应用程序开发中独立出来。linux-pam处理四种独立的（管理）工作。它们是： 认证管理； 帐号管理； 会话期间管理；和密码管理。amxSb/WJefcB 8][ 此文转贴于我的学习网电脑课堂LINUX教程 http://www.Gzu521.com]amxSb/WJefcB 8] pam工作方式： （1） 调用某个应用程序，以得到该程序的服务。 （2） pam应用程序调用后台的pam库进行认证工作。 （3） pam库在/etc/pam.d/目录中查找有关应用程序细节的配置文件,该文件告诉pam,本应用程序使用何种认证机制。 （4） pam库装载所需的认证模块。 （5） 这些模块可以让pam与应用程序中的会话函数进行通信。 （6） 会话函数向用户要求有关信息。 （7） 用户对这些要求做出回应，提供所需信息。 （8） pam认证模块通过pam库将认证信息提供给应用程序。 （9） 认证完成后，应用程序做出两种选择： 将所需权限赋予用户，并通知用户。 认证失败，并通知用户。 pam工作流程见图1。
图1 pam工作流程 pam具体使用方法： #cd /usr/src/redhat/sources/srp-2.1.1/base/pam_eps. #install -m 644 pam_eps_auth.so pam_eps_passwd.so /lib/security
2. 使用eps pam模块进行密码验证 （1） 首先备份 /etc/pam.d/system-auth文件 （2） 修改 /etc/pam.d/system-auth文件如下形式： auth required /lib/security/pam_unix.so likeauth nullok md5 shadow auth sufficient /lib/security/pam_eps_auth.so auth required /lib/security/pam_deny.so account sufficient /lib/security/pam_unix.so account required /lib/security/pam_deny.so password required /lib/security/pam_cracklib.so retry=3 password required /lib/security/pam_eps_passwd.so password sufficient /lib/security/pam_unix.so nullok use_authtok md5 shadow lw&R8{LKz_ @[本_文_来_源_于_我_的_学_习_网电脑课堂LINUX教程 http://Www.GZU521.Com ]lw&R8{LKz_ @ password required /lib/security/pam_deny.so session required /lib/security/pam_limits.so session required /lib/security/pam_unix.so
注意上面第一行黑体字表示pam的eps_auth模块可以满足认证需求。第二行黑体字表示pam 的pam_eps_passwd.so 模块用来进行密码管理。 （3） 将标准密码转换为eps格式 （4） /etc/pam.d/system-auth 配置文件的模块pam_eps_passwd.so 将eps版本的密码验证字符串写入/etc/tpasswd 文件中。 修改 /etc/pam.dpasswd文件如下形式： auth required /lib/security/pam_stack.so service=system-auth account required /lib/security/pam_stack.so service=system-auth password required /lib/security/pam_stack.so service=system-auth
（1）进入srp源代码ftp子目录，分别建立ftp服务器文件和ftp客户端文件： #cd /usr/src/redhat/sources/srp-2.2.1/ftp #make；make install
service ftp { socket_type = stream wait = no user = root server = /usr/local/sbin/ftpd log_on_success += duration userid log_on_failure += userid nice = 10 disable = no }
#killall -usr1 xinetd
#%pam-1.0 k2@H0R?dkCocUlX�& [此资料转贴于学习网电脑课堂LINUX教程 ]http://www.Gzu521.Comk2@H0R?dkCocUlX�& auth required /lib/security/pam_listfile.so item=user \ sense=deny file=/etc/ftpusers onerr=succeed auth required /lib/security/pam_stack.so service=srp-ftp auth required /lib/security/pam_shells.so account required /lib/security/pam_stack.so service=srp-ftp session required /lib/security/pam_stack.so service=srp-ftp $$ /usr/local/bin/ftp localhost connected to localhost.intevo.com. 220 k2.intevo.com ftp server (srpftp 1.3) ready. srp accepted as authentication type. name (localhost:kabir): cao srp password: xxxxxxxx srp authentication succeeded. using cipher cast5_cbc and hash function sha. 200 protection level set to private. 232 user kabir authorized by srp. 230 user kabir logged in. remote system type is unix. using binary mode to transfer file 如果希望在其他linux计算机使用ftp登录到srp服务器，需要安装srp服务支持和srp客户机软件。方法是和在srp服务器端相同的。 none (1) blowfish_ecb (2) blowfish_cbc (3) blowfish_cfb64 (4) blowfish_ofb64 (5) cast5_ecb (6) cast5_cbc (7) cast5_cfb64 (8) cast5_ofb64 (9) des_ecb (10) des_cbc (11) des_cfb64 (12) des_ofb64 (13) des3_ecb (14) des3_cbc (15) des3_cfb64 (16) des3_ofb64 (17)
#/usr/local/bin/ftp -c blowfish_cfb64 “ip地址”
#/usr/local/bin/ftp –h md5 “ip地址”
五、在非linux平台上使用srp客户机 srp同样支持其他流行的操作系统（unix、bsd、winodws、macos）。kermit 95是一个工作在windows 9x, me, nt, and 2000, xp和 os/2操作系统下的srp客户机。详细情况前查看相关网址：http://www.columbia.edu/kermit/k95.html 。 总结：详细的srp工作原理可以在srp的有关站点发现。地址是http://srp.stanford.edu/srp，在这里你可以得到有关协议的在线说明http://srp.standford.edu/srp/design.html或者是一个出版的关于srp的技术白皮书http://srp.standford.edu/srp/ftp。 以上提供了相对openssh更加安全快捷的ftp登录远程linux服务器的方法，基于srp服务 ftp应用与其他网络应用一样属于客户机/服务器模型，一旦连通后，客户机可以享有服务器所提供的一切服务。 |
责任编辑：gzu521
当前位置:
